CVE-2026-3600: podatność Stored XSS w wtyczce Investi dla WordPress

Co wiadomo

Wtyczka Investi dla WordPress do wersji 1.0.26 zawiera podatność Stored Cross-Site Scripting (XSS) w atrybucie 'maximum-num-years' shortcode'u 'investi-announcements-accordion'. Niewystarczająca walidacja i eskalacja danych wejściowych pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Investi i jej instalację, jeśli jest dostępna. W przypadku braku łatki, ogranicz dostęp do funkcji shortcode dla użytkowników o niższych uprawnieniach, monitoruj logi serwera pod kątem podejrzanej aktywności oraz rozważ zastosowanie mechanizmów filtrowania i sanitizacji danych wejściowych. Priorytetyzuj działania zabezpieczające w środowiskach produkcyjnych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference